Политика конфиденциальности

Это заявление описывает, какие персональные данные обрабатывает tellmelo, для чего, на каком правовом основании, кому они передаются и как долго хранятся; названные функции приведены как примеры. Правовое основание указано в скобках; если оно стоит перед перечнем или в конце первого абзаца, оно действует для всего раздела, если не указано иное.

Новое в этой редакции

Коротко; определяющим является текст ниже.

• Дуэль постов: игра-угадайка с публичными публикациями, в одиночку или вдвоём, с ежемесячным рейтингом, таблицей лидеров и призами; во время игры твои другие устройства заблокированы; свои публикации и себя ты исключаешь переключателями (Дуэль постов).
• Группы с каналами: каналы чата, роли, пригласительные ссылки, канал ленты, который пока выключен, а также заглушение, исключение и бан со стороны группы; что сохраняется и кто это видит, описано в разделе Группы.
• Заглушение каналов: чат-каналы можно заглушить только для себя — на несколько часов или до отмены (Группы).
• Звонки: голосовые и видеозвонки с показом экрана, напрямую между устройствами и со сквозным шифрованием, пока с ранним доступом; ничего не записывается, хранится только запись в чате (в разделе «Публикации, ответы и сообщения»).
• Голосовые каналы: в открытых группах разговор, камера и экран через собственный медиасервер; ничего не записывается и не сохраняется (в разделе «Группы»).
• Боты: участники могут создавать ботов, которых группы принимают со своего согласия; бот читает то, что может видеть в группе (в разделе Группы).
• Искры для групп: вместо уровней руководство группы включает за её искры бонусы; сохраняется, какие и с какого времени (в разделе Награды, ритм верности и искры).
• Расстановка страниц, виджеты и галерея: на компьютере ты сам расставляешь страницы и добавляешь виджеты; свои виджеты и дизайны можно отправить в галерею, которую проверяет команда (Расстановка страниц, виджеты и галерея).
• Раздел разработчика и простые виджеты: API-ключи, боты, приложения и вебхуки — в разделе разработчика; несколько именованных API-ключей с последним днём, каждое изменение подтверждается паролем и при необходимости кодом; изменения одобренных приложений проверяет команда (Инструменты для организаций, партнёров и разработчиков, Вход на другие сайты). Новые простые виджеты, среди них привычки и настроение только для тебя (Расстановка страниц, виджеты и галерея).
• Дизайны для всего приложения, рисование и оценки: дизайн теперь охватывает всё приложение, на страницах можно рисовать, а виджеты, дизайны и боты можно оценивать и писать к ним отзывы (Расстановка страниц, виджеты и галерея).
• Мелкое исправление: переключатели для поста недели и программы «Находка» находятся в Настройки → Участие.

Обзор

Ответственное лицо

Уполномоченный по защите данных не назначен; условия § 38 BDSG не выполняются.

Главное

• Без рекламы, без продажи, без слежки: никакого анализа для рекламы, никаких инструментов аналитики или пикселей отслеживания; данные передаются только указанным получателям.
• Сервер в Германии, его обслуживает ответственный за обработку; перевод, распознавание языка, изображения, видео и проверка ссылок работают на нём.
• Сторонние поставщики — только когда они тебе нужны: при загрузке страниц — никаких; сервисы входа и платёжные сервисы — только если ты их выбираешь; push-сервисы — только с push; Discord — только с приложением для компьютера.
• Решаешь ты: выученные темы, публичный профиль и находимость можно отключить; про программу «Находка», push, обзор по почте и твоё место тебя сначала спросят.

Определяющей является версия на немецком языке. Переводы этой и остальных правовых текстов служат для удобства чтения.

Когда ты заходишь на сайт

Сервер, безопасность и значки

Для работы и безопасности (Art. 6(1)(f) GDPR: безопасный, законный и единообразно отображаемый сервис):

• Журналы сервера: IP-адрес, время, запрошенный адрес, объём данных, идентификатор браузера и язык — для работы сервиса и защиты от атак, не дольше 14 дней; не записываются cookie сессии, регулярные запросы вошедших участников и неизменяемые файлы программы.
• Счётчики против массовых запросов: сколько раз вход или IP-адрес что-то делает, без аккаунта — только под необратимым отпечатком; они истекают не позже чем через два дня, большинство — через период от одной минуты до одного часа.
• Защита от атак (также Art. 32 GDPR): запросы, которые делают только атакующие (адреса-ловушки, поиск чужих файлов, вредоносный код в адресах, многократные неудачные попытки входа или доступа к разделам команды), tellmelo хранит 30 дней вместе с необратимым отпечатком IP-адреса, IP-адресом без последней части, видом инцидента, путём без поисковых запросов и временем. При повторении адрес блокируется на 15 минут, на один день или на 30 дней. Отпечатки адресов, с которых члены команды входят или пользуются своим входом, хранятся 30 дней, чтобы эти адреса никогда не блокировались; если во время атаки управление закрыто, оно открывается только для адресов, с которых входили члены команды.
• О чужих подключениях к базе данных tellmelo сообщает команде, только с названием программы и сокращённым адресом, не сохраняя их.
• Встроенные GIF и видео: если другой сайт показывает GIF или видео из tellmelo, браузер его посетителей загружает их с этого сервера, с журналом сервера; против перегрузки сервер одну минуту считает обращения в оперативной памяти под необратимым отпечатком IP-адреса. Плеер не устанавливает cookie; за встраивание отвечает другой сайт.
• Проверка страны: страну запроса сервер определяет по IP-адресу с помощью списка стран DB-IP (db-ip.com, CC BY 4.0), который он сам скачивает, не сохраняя её и не связывая с твоим аккаунтом. Из государств, законы о социальных сетях которых tellmelo выполнить не может, виден только уведомляющий текст; правовые тексты и форма обратной связи остаются доступными. Интерфейс для программ (API с ключами, выбор медиа и встраивание на другие сайты, «Войти через tellmelo» для серверов других сайтов) остаётся доступным из всех стран.

Cookie и хранилище на устройстве

tellmelo кладёт на твоё устройство только собственные записи. Что там сейчас лежит, показывает кнопка со щитом внизу страницы, а после входа на телефоне — Настройки → Оформление и приложение → Что лежит на твоём устройстве.

Баннера согласия нет: всё, кроме push-скрипта, не требует согласия, потому что ты сам это выбираешь или это нужно сервису (§ 25(2) Nr. 2 TDDDG; для входа и «Читать офлайн» также Art. 6(1)(b) GDPR). Про push тебя явно спрашивают при включении (§ 25(1) TDDDG, Art. 6(1)(a) GDPR, push).

Язык и перевод

tellmelo доступен на четырнадцати языках. Действует выбор в аккаунте, иначе cookie tellmelo-language, иначе заголовок браузера Accept-Language, который только считывается, иначе английский (Art. 6(1)(b) GDPR; без собственного выбора — Art. 6(1)(f) GDPR: показывать страницу на твоём языке).

Перевод и распознавание языка работают на этом сервере, на моделях перевода Mozilla и языковой модели fastText от Meta, которые он скачивает без каких-либо данных об участниках; ни один текст не уходит стороннему сервису. Язык публикации, дополнения или ответа, а для абзацев на нескольких языках — и эти языки, tellmelo распознаёт при написании и сохраняет вместе с текстом, чтобы «Перевести» появлялось там, где это нужно; если язык неясен, берётся язык аккаунта или последних текстов. Переводится только по твоему нажатию, без сохранения или записи в журнал текста или перевода; только число твоих переводов одну минуту лежит в оперативной памяти — для лимита в минуту. Сообщения никогда не переводятся (Art. 6(1)(b) GDPR; по отношению к авторам — Art. 6(1)(f) GDPR: чтобы их тексты понимали).

Ссылки и их проверка

Ссылки открываются через страницу-предупреждение; адрес назначения стоит после #, который браузер не отправляет на сервер. Какие ссылки ты открываешь, не сохраняется, и сайт назначения не узнаёт, откуда ты пришёл. Превью ссылок загружает сервер, а не твой браузер.

Проверка вредных сайтов: ссылки в публикациях, ответах, сообщениях, профилях и профилях групп tellmelo сверяет со списками известных фишинговых, мошеннических и вредоносных сайтов (например Phishing.Database, Block List Project, по желанию оператора — abuse.ch), которые скачивает и хранит сервис на этом сервере; ни один адрес ради этого не уходит стороннему сервису. Новый сайт он один раз открывает без данных о тебе, а чтобы узнать его возраст, спрашивает у регистратора (RDAP) только доменное имя. Для каждого сайта сохраняются адрес, первое появление, сколько раз его публиковали и на него жаловались, и результат, но не кто это делал, а также, пока ссылка там стоит, какой профиль на него ссылается. Новые сайты tellmelo один раз показывает команде, как и сайты, присланные участниками (с их идентификатором, оценкой и обоснованием). На заблокированные сайты ссылаться нельзя; ссылки на них tellmelo удаляет из профилей и профилей групп и сообщает об этом (Art. 6(1)(f) GDPR: защита участников от вредных сайтов).

Аккаунт

Аккаунт и вход

Для аккаунта tellmelo сохраняет (Art. 6(1)(b) GDPR):

• Имя пользователя и отображаемое имя, выбираешь ты, публичны.
• Адрес электронной почты (обязателен, одноразовые адреса не принимаются), в зашифрованном виде, ключ — отдельно; для кодов и ссылок для входа, сообщений оператора, например об изменении правовых текстов, и писем, которые ты включаешь.
• Пароль — только в виде хеша scrypt; коды по почте, ссылки и секреты — только недолго и в виде хеша. Двухфакторный вход добровольный; его секрет хранится в зашифрованном виде.
• Ключи доступа: открытый ключ с идентификатором, название, которое ты ему даёшь, когда он создан и последний раз использован и синхронизируется ли он; закрытый ключ остаётся на твоём устройстве или в менеджере паролей.
• Устройства со входом: время, последний доступ и примерное описание вроде «Chrome на Windows», без IP-адреса. Устройства и ключи доступа удаляются в Настройки → Аккаунт и безопасность.
• История безопасности: новый пароль, новый адрес e-mail, второй фактор включён или выключен, новые коды восстановления, добавленный или удалённый ключ доступа и входы с новых устройств — каждое с временем, а для новых устройств с примерным описанием; видна только тебе в Настройки → Аккаунт и безопасность → История безопасности, хранится 180 дней.
• Последнее использование с точностью до часа: для отметки новых публикаций, подсказок после отсутствия, «был в сети», обзора, приглашений, программ и закрытия неиспользуемых аккаунтов организаций.
• Настройки, например язык, уведомления, приватность, панель и стартовый экран приложения, скрытые подсказки.

Вход через Google, Clovord или Apple

При «Продолжить с Google», «Продолжить с Clovord» или в приложении для iOS «Вход с Apple» сервис с твоего разрешения передаёт идентификатор твоего аккаунта там, твой адрес почты, если он его подтвердил (у Apple по желанию — адрес для пересылки), и твоё имя, у Clovord ещё и имя пользователя; фото профиля, контакты и пароль — нет. Идентификатор сохраняется, чтобы узнавать тебя; если подтверждённый адрес уже принадлежит аккаунту, они связываются. Для нового аккаунта данные хранятся в зашифрованном виде до завершения регистрации, не дольше 30 минут. Пока у аккаунта, созданного так, нет пароля, заданного по ссылке, ты можешь входить и без сервиса — по коду, который tellmelo отправляет на этот адрес. Аккаунты с правами команды не могут пользоваться некоторыми сервисами. Отвязка в Настройки → Аккаунт и безопасность удаляет идентификатор; для Apple tellmelo тогда, как и при удалении аккаунта, отзывает разрешение и у самой Apple. То, что обрабатывают сами сервисы, регулируют их политики конфиденциальности (Art. 6(1)(b) GDPR).

Вход с телефона

На компьютере ты входишь с помощью телефона, на котором уже выполнен вход: компьютер показывает три числа от 1 до 99, и ты подтверждаешь «Это ты?» на телефоне теми же тремя из девяти чисел или, с «Вход поблизости» в той же сети, одним нажатием; камера не нужна. Сохраняется запрос с примерным описанием компьютера вроде «Chrome на Windows», числами и хешем его секрета; он действует несколько минут и удаляется не позже чем через день; телефон получает уведомление, в том числе push. Если ты вводишь на компьютере своё имя и на телефоне выполнен вход в приложении, страница предлагает этот способ и для этого узнаёт, предлагает ли его твой аккаунт. Отключить можно в Настройки → Аккаунт и безопасность → Устройства со входом (Art. 6(1)(b) GDPR).

«Вход поблизости» добровольный и сначала выключен. Если он включён, tellmelo, пока приложение на телефоне открыто, хранит не дольше десяти минут отпечаток его публичного IP-адреса, образованный с секретным ключом, а не сам адрес. Компьютер в той же сети тогда предлагает тебе вход, не показывая твоего имени; если таких телефонов в сети больше трёх — не предлагает. Выключение сразу удаляет отпечаток и отзывает согласие (Art. 6(1)(a) GDPR).

Возраст и родители

Дата рождения проверяется при регистрации и не сохраняется. Младше 16 лет аккаунт создаётся только с согласия законного представителя; до этого данные, оба адреса почты в зашифрованном виде, хранятся не дольше 14 дней. Как подтверждение до удаления аккаунта сохраняются время согласия и адрес, с которого оно пришло (в зашифрованном виде) (Art. 6(1)(b) в связи с Art. 8 GDPR).

Контроль (добровольный): до двух законных представителей могут привязать свой аккаунт и задать дневное время и ночной покой. Для этого tellmelo считает за каждый день секунды, в течение которых страница у ребёнка открыта и видна. Родители видят это время за последние семь дней, имя и имя пользователя ребёнка и настройки, никогда — публикации, сообщения или контакты; ребёнок видит, кто привязан и что действует. Если родитель подтверждает, что ребёнку 16 (дата рождения снова проверяется и не сохраняется), или контроль заканчивается, связи, настройки и время удаляются. У аккаунтов под контролем более строгие настройки по умолчанию, и некоторыми функциями они не пользуются (Art. 6(1)(b) в связи с Art. 8 GDPR; для данных ребёнка — Art. 6(1)(f) GDPR: родительская забота по § 1626 BGB и защита несовершеннолетних).

Приглашения

Аккаунты, подготовленные оператором, содержат имя, имя пользователя, для организаций — публичные контакты, а при приглашении по почте — адрес (в зашифрованном виде). Ничего не видно, пока человек не откроет ссылку и не задаст пароль; непринятые приглашения удаляются через 14 дней, по просьбе — сразу (Art. 6(1)(f) GDPR: облегчить людям и организациям начало).

Пригласительные ссылки участников содержат только имя пользователя. Для наград tellmelo сохраняет, кто пригласил, и по уже сохранённым данным проверяет, выполняет ли новый аккаунт условия (условия использования); пригласивший участник видит только числа, а не людей. Если приглашение не засчитывается, связь удаляется не позже чем через 60 дней, с «Не засчитывать меня» — сразу, иначе — вместе с одним из аккаунтов (Art. 6(1)(b) GDPR; по отношению к приглашённому участнику — Art. 6(1)(f) GDPR: честно награждать за приглашения).

Профиль

Для профиля (Art. 6(1)(b) GDPR):

• Данные профиля, такие как фото, обложка, описание, сайт, страница ссылок и значки, видит тот, кто может видеть твой профиль (публичный профиль), а надетые предметы из магазина — только тот, кто не отключил оформление из магазина. Месяц регистрации и значки можно скрыть (для месяца регистрации — Art. 6(1)(f) GDPR: другие видят, как давно человек здесь). Указанный сайт сервер время от времени открывает, чтобы найти ссылку с rel=me на твой профиль, и сохраняет только результат.
• Место (добровольно): населённый пункт, регион, страна, индекс, улица и номер дома (в зашифрованном виде) и округлённые координаты — чтобы узнавать публикации и вопросы из твоих мест; публичен только населённый пункт, если ты его показываешь. Поиск адреса спрашивает Photon (komoot GmbH, Потсдам) с тем, что ты ввёл, без твоего IP-адреса; ответы без идентификатора хранятся в кеше 30 дней. Отзыв в Настройки → Профиль → Твоё место удаляет все данные о месте (Art. 6(1)(a) GDPR).
• Аккаунты организаций публично показывают адрес, отрасль, телефон, адрес почты и часы работы. Этот вид аккаунта заканчивается через 18 месяцев без входа или если команда его отзывает; аккаунт и публикации остаются.
• Общие контакты и похожие подсказки tellmelo вычисляет при показе из списков, которые и так видны, не сохраняя их.

Верификация и сведения об организациях

О заявках на знак верификации, в том числе для групп, решает человек. Сохраняются заявка с обоснованием, вид аккаунта и время, для людей — ключевые показатели на момент отправки, и решение. Компании и объединения загружают официально признанный документ; он хранится в зашифрованном виде и только до решения, открыть его могут только администраторы, каждое открытие записывается, а ненужные данные можно закрасить (Art. 6(1)(b) и (f) GDPR: защита от аккаунтов, выдающих себя за других).

Сведения об организациях: если аккаунт пишет в публикациях, ответах или в профиле, что говорит от имени компании, органа власти или tellmelo, он, если не верифицирован, получает пометку «не подтверждено», пока не пройдёт верификацию или пока команда не разберётся со сведениями, а также просьбу представить подтверждение через верификацию. Сохраняются аккаунт, место, где найдено упоминание, название организации и когда сведения были разобраны, но не остальной текст; неразобранные хранятся до разбора, разобранные — один год. Если оператор это включил, при отправке проверяются и незашифрованные личные сообщения, сообщения со сквозным шифрованием — никогда (Art. 6(1)(f) GDPR: защита участников от обмана).

Программа модераторов

Заявки подаются в Настройки → Участие → Модерация, пока оператор их принимает. Сохраняются выбранные языки, когда ты принял(а) какую редакцию соглашения, результаты теста и обучения в процентах, этап заявки и решения оператора с обоснованием. По каждому отправленному тесту (заявка, завершение обучения, новое в обучении) показанные публикации и каждое твоё решение хранятся в зашифрованном виде 90 дней, чтобы только оператор мог проверить твои ответы; если ты отзовёшь заявку или удалишь аккаунт, они сразу удаляются. Дата рождения только проверяется. Если ты модератор, tellmelo учитывает твои действия в журнале аудита за последние 30 дней и дату твоей последней публикации — для уровня твоего значка и напоминания через 14 дней без активности; через 30 дней об этом узнаёт оператор (Art. 6(1)(b) GDPR).

Помощники от 16 лет проходят более короткий тест, более короткое обучение и ту же проверку копии документа; дополнительно сохраняется, хочешь ли ты стать модератором или помощником. Если тебя приглашает оператор, заявка не нужна; сохраняются, кто и когда тебя пригласил, и твой ответ (Art. 6(1)(b) GDPR).

Копия документа: после успешного теста ты загружаешь фото лицевой или оборотной стороны удостоверения личности или паспорта, на котором читаются имя, номер документа и дата рождения; всё остальное можно закрасить. Оно хранится с заметной пометкой «копия», уменьшенным, без метаданных и в зашифрованном виде. Открыть его может только оператор: один раз для проверки, затем только с обоснованием, которое ты каждый раз получаешь уведомлением и по почте; каждое открытие отражается в журнале аудита. Копия удаляется, как только ты отзываешь заявку или прекращаешь участие, запрашивается новая копия или сотрудничество заканчивается; если оно заканчивается из-за серьёзного нарушения, копия хранится не дольше 3 месяцев, даже после удаления твоего аккаунта, и ты узнаёшь причину (Art. 6(1)(a) GDPR и § 20(2) PAuswG, отзыв — отзывом заявки или прекращением участия; после серьёзного нарушения — Art. 6(1)(f) GDPR: предъявление правовых требований или защита от них).

Подписки, искры, подарки, магазин и оплата

Для покупок и подарков tellmelo сохраняет (Art. 6(1)(b) GDPR; по отношению к получателям подарков — Art. 6(1)(f) GDPR: доставить подарки):

• Подписки, искры и подарки: вид, объём, начало и конец подписок, купленные искры и подписка на искры, кто кому что подарил и откуда это (покупка, оператор, квота партнёра). То, что оператор даёт партнёру для дарения (месяцы подписки, искры, оформление с количеством штук), лежит в его инвентаре и удаляется с окончанием партнёрства или аккаунта. Получатели подарков узнают имя и @имя дарителя; тот, кто раздаёт подарки под публикацией, видит только число розданных мест.
• Предметы магазина: какие ты когда и по какой цене купил(а) или от кого получил(а) в подарок и какие надел(а), для лимитированных — номер твоего экземпляра, для уникального оформления — номер твоей покупки. Надетое (рамку профиля, эффект над обложкой, оформление карточки профиля) видит тот, кто видит твой профиль или твои публикации и не отключил оформление из магазина. Для групп так же: какая группа когда и по какой цене получила предмет, кто из руководства его купил и что она надела (рамку вокруг её изображения, эффект над её обложкой, оформление шапки группы); это видит тот, кто видит группу и не отключил оформление из магазина. Покупки удаляются вместе с аккаунтом или группой; платёж остаётся как учётный документ у покупателя. Эксклюзивные предметы видят и получают только участники и группы из их списка; запись заканчивается вместе с аккаунтом или группой. Если команда дарит тебе предмет или надевает его на тебя, tellmelo сохраняет когда и кто, что было надето до этого, и твой ответ (оставить или вернуть); ты узнаёшь об этом уведомлением и по почте.
• Созданное с функциями подписки, например заметки (в зашифрованном виде), напоминания, сообщения, отправляемые позже (в зашифрованном виде до отправки), анимированные собственные эмодзи и эмодзи сверх десяти, доступных каждому аккаунту, или шаблоны текста, хранится шесть месяцев после окончания подписки, чтобы вернуться с новой подпиской, а затем удаляется; за две недели до этого приходит письмо.
• Инвентарь и баллы тарифа: для каждого балла — подписка, происхождение (подписка, пакет, подарок, команда, пробный балл, благодарность за тестовую покупку в бете приложения для iOS), платёж, получение, а для подарков — доставка, был ли он активирован и когда — автоматически или тобой, — и какой период подписки он покрывает, был ли он возвращён, а также твоя настройка автоматической активации. Для подарков из инвентаря (баллы, искры, предметы) — кто кому когда что подарил, видно обоим в истории; для искр и предметов также доставка (для блокировки на семь дней), для предметов — надел(а) ли ты их впервые и когда. Баллы и история удаляются вместе с аккаунтом; у другого участника тогда стоит «удалённый аккаунт».
• Промокоды: код, платёж и время, чтобы код действовал для каждого участника только один раз; удаляются при возврате.

Оплата: в браузере — через Stripe (в ЕС: Stripe Payments Europe, Limited, Дублин), в приложении для Android — через Google Play (Google Commerce Limited, Дублин), в приложении для iOS — через App Store (Apple Distribution International Ltd., Корк). Платёжные данные ты вводишь только там; tellmelo их не получает. tellmelo передаёт только товар, объём, цену и псевдонимный номер заказа и узнаёт, была ли и когда оплата, продление, отмена или возврат, с идентификаторами и подтверждениями покупки от поставщика. Продаёт ли сам tellmelo или поставщик, который тогда берёт на себя налог, чек и возврат, показывает страница оплаты. Как продавцы и для своих целей поставщики отвечают сами (stripe.com/de/privacy, policies.google.com/privacy, apple.com/legal/privacy). Покупки в App Store ты отменяешь или запрашиваешь по ним возврат в окне Apple, которое приложение для iOS открывает из инвентаря; tellmelo узнаёт только результат (Art. 6(1)(b) GDPR).

В tellmelo сохраняются заказы до завершения, платежи, возвраты (в том числе добровольные в течение 48 часов), твоё согласие на немедленное начало (отказ от права на отказ от договора), счета, отмены и отказы от договора (данные формы /cancel — в зашифрованном виде) и указанный адрес для счетов (в зашифрованном виде); в счетах частным лицам нет имени (Art. 6(1)(b) GDPR; для учётных документов — Art. 6(1)(c) GDPR в сочетании с § 147 AO и § 14b UStG).

Контент и общение

Посты, ответы и сообщения

То, что ты пишешь и делаешь, хранится, пока ты не удалишь это или свой аккаунт: публикации, ответы, реакции, голоса в опросах и за ответы, прежние версии отредактированных публикаций, черновики (в зашифрованном виде), ответы, запланированные на потом (до этого видны только тебе), подборки, подписки, отключение звука, блокировки, списки вроде близких друзей и личные сообщения. Публичные публикации видят все, публикации для близких друзей — только они, личные сообщения — только участники переписки. К каждой публикации относятся твои настройки, например кто может отвечать, ждут ли ответы одобрения, соавторы, создано ли изображение с помощью ИИ; одобренный ответ сохраняет время написания и дополнительно получает время одобрения. При переносе из архива другой платформы архив читает твой браузер; в tellmelo уходят только твои публикации (Art. 6(1)(b) GDPR; там, где затронуты другие участники, например в уведомлениях об их публикациях или в медиатеке, — Art. 6(1)(f) GDPR: общение на платформе).

• Голоса «за» и «против»: за ответы голосуют «за» или «против», прежнее «Нравится» считается голосом «за»; сохраняется, кто когда и как проголосовал за какой ответ, никогда оба голоса сразу. Под ответом стоит его рейтинг — голоса «за» минус голоса «против», в том числе ниже нуля (не в спокойном режиме); его автор узнаёт из уведомления, кто проголосовал «за», не чаще одного раза в 30 дней на человека и ответ, иначе это не показывается. Кто проголосовал «против», не видит никто, даже автор, — только тот, кто голосует «против», видит свой собственный голос; никто об этом не получает уведомлений. Каждый уровень упорядочен по разнице голосов «за» и «против», с небольшим преимуществом в первые 3 часа; ответ, у которого не меньше 3 голосов «против» и более чем вдвое больше голосов «против», чем «за», стоит свёрнутым в конце («малополезное») и отсутствует на публичной странице публикации. Голоса прекращаются вместе с ответом или аккаунтом и есть в экспорте данных.
• Выделенный ответ: автор публикации может выделить прямой ответ на неё, заменить его или снять выделение. Этот ответ тогда стоит у всех первым, в том числе на публичной странице, с пометкой «Выделено …»; его автор получает уведомление, не чаще одного раза в 30 дней на ответ. Хранится у публикации, пока выделение не снято или ответ не удалён.
• Изображения уменьшает твой браузер и заранее удаляет данные EXIF вместе с геолокацией GPS; видео, GIF и звуки сервер (ffmpeg) перекодирует без метаданных и места съёмки и удаляет загруженный файл. Для квот вроде видеобаллов размер и время загрузки хранятся до 7 дней. Пост, который ты отправляешь, пока его видео или GIF ещё перекодируется, tellmelo до тех пор не публикует; если перекодировать не удалось, он снова становится черновиком.
• Медиатека: GIF и видео, открытые для всех, могут находить и публиковать все участники, с твоим именем и @именем; открытие доступа ты можешь отменить в любой момент. На других сайтах их показывает плеер tellmelo, тоже с именем и @именем, только если ты это явно разрешаешь. Собственные эмодзи, открытые для твоих подписчиков, они могут использовать в своих текстах, анимированные — только с подпиской. Сохраняется только открытие доступа или разрешение, пока ты его не отменишь; разрешение для других сайтов прекращается также вместе с открытием доступа.
• Текст сообщений хранится на сервере в зашифрованном виде (AES-256-GCM, ключ отдельно), как и приветствия и автоответы об отсутствии от организаций; это защищает прежде всего копии и резервные копии базы данных. Изображения и файлы в них могут открыть только участники переписки. Сами по себе сообщения не зашифрованы сквозным шифрованием: сервер расшифровывает их для показа, и тот, у кого есть доступ к работающему серверу, технически может их прочитать. Печатает ли собеседник прямо сейчас или в сети ли он, хранится в оперативной памяти не дольше 24 часов и видно только людям, которым ты сам писал; отключить можно в Настройки → Сообщения. Голосовые сообщения записывает твой браузер с помощью микрофона, когда ты это разрешаешь и записываешь сообщение; tellmelo превращает запись в файл MP3 длиной не более трёх минут без метаданных и хранит только его, как изображения, в сообщениях, публикациях и ответах (Art. 6(1)(b) GDPR). В чатах со сквозным шифрованием их нет.
• Сквозное шифрование (добровольно, Настройки → Сообщения): твой браузер создаёт пару ключей и запечатывает закрытый ключ твоим шестизначным PIN-кодом, который никогда не покидает твоё устройство, и случайной частью, которую сервер хранит в зашифрованном виде. Сохраняются открытый ключ (для твоих собеседников), запечатанный закрытый ключ, контрольное значение PIN-кода в виде хеша, часть сервера (в зашифрованном виде), число неверных PIN-кодов подряд, включено ли шифрование и могут ли писать тебе только люди с шифрованием, а после нового начала из-за забытого PIN-кода — также прежние открытые ключи. Если в чате шифрование включено у обоих, браузер до отправки запечатывает каждый текст и каждое фото (AES-GCM), в том числе отложенные сообщения; tellmelo хранит их в таком виде, с идентификаторами обоих ключей, и не может ни прочитать, ни посмотреть их, даже для превью. Видно остаётся, кто кому когда пишет, примерная длина, число и примерный размер фото и прочитано ли сообщение. Фото твой браузер заранее проверяет моделью и порогом проверки изображений, которую он при первом фото один раз загружает с tellmelo (около 3 МБ), и распознанное фото не отправляет; результат остаётся на устройстве, ничего не сохраняется. Видео и GIF в таких чатах не работают; ссылки tellmelo проверяет только при открытии. Просьба включить шифрование приходит автоматическим незашифрованным сообщением. Короткий PIN-код сервер защищает тем, что выдаёт свою часть только при верном PIN-коде и после каждых пяти неверных попыток заставляет ждать дольше; но тот, кто сам управляет сервером и владеет его ключами, мог бы подобрать PIN-код, приложив усилия. Сколько устройство остаётся разблокированным, ты выбираешь сам (устройство). В экспорте данных такие сообщения находятся в запечатанном виде; вместе с аккаунтом удаляются все ключи.
• Звонки (пока с ранним доступом): ты можешь звонить людям, которым можешь писать и у которых твои сообщения не ждут как запрос, если они не отключили звонки в Настройки → Звонки. Голос, изображение и показ экрана идут напрямую между устройствами со сквозным шифрованием (WebRTC с DTLS-SRTP); если это мешает брандмауэр, собственный TURN-сервер tellmelo пересылает зашифрованный поток, не имея возможности его прочитать. Для этого каждое устройство узнаёт IP-адреса и сетевые данные другого. Ничего не записывается. Пока звонок звонит или идёт, tellmelo хранит, кто кому звонит и с какого времени, с видео ли, и данные соединения обоих устройств с их IP-адресами; после остаётся только запись в чате (голосовой или видеозвонок с длительностью, пропущенный или отклонённый), которая хранится и удаляется как сообщение, а пропущенный звонок приходит уведомлением. Входящий звонок приходит как push-уведомление, как и сообщение, если ты получаешь сообщения как push. Шумоподавление (RNNoise) и активация голосом работают только на твоём устройстве; выбранные устройства и настройки хранит твой браузер (Art. 6(1)(b) GDPR).
• О скрытии и блокировке затронутые не узнают — разве что по тому, что больше не могут тебе писать или тебя видеть.
• Подсчёты и подсказки вроде «С твоего последнего визита», твоей недели, «Помоги», «Поздоровайся» или статистики твоих публикаций tellmelo вычисляет при показе из уже сохранённых данных; сохраняется разве что то, когда ты скрыл подсказку, а картинка, чтобы поделиться, — только если ты её публикуешь.
• Значки в пяти уровнях с числом показывают, сколько публикаций, ответов и изображений кто-то опубликовал, на скольких он подписан, сколько у него подписчиков, сколько отметок «Нравится» (у ответов — голосов «за») и репостов он получил и сколько отметок «Нравится» (у ответов — голосов «за») он поставил; вычисляются при показе, не дольше 10 минут в оперативной памяти. В аккаунте сохраняется только: для «Охоты на баги» — число твоих сообщений об ошибках, которые команда отметила как подтверждённые или исправленные, а у сообщения — что оно засчитано (сами сообщения значок не показывает); для Early Supporter — у кого до 2027 года есть период подписки (купленный, подаренный, от команды или для тестирования), с какого времени, а после его окончания — когда он закончился. Значок вместе с обоими сведениями прекращается через три месяца после этого, если период подписки больше не идёт. Скрыть можно в Настройки → Участие → Награды (Art. 6(1)(f) GDPR: стимул участвовать).

Группы

В группах (Art. 6(1)(b) GDPR; для решений руководства, нарушений и публичных страниц групп — Art. 6(1)(f) GDPR: порядок в группах, видимые публичные группы):

• Членство с ролью и началом видят участники группы, в публичных группах — все, кто видит группу; колокольчик, искры и числа показывают только суммы, а не кто именно.
• Каналы и чат: Кроме канала с публикациями группы есть каналы чата. Для каждого сообщения сохраняются канал, автор, время, текст, медиа (изображения, GIF, видео, голосовые сообщения) и сообщение, на которое оно отвечает; их видят участники, которые видят канал. В отличие от личных сообщений, текст хранится на сервере без шифрования, как публикации. До какого места ты прочитал(а) канал, сохраняется для числа непрочитанных сообщений, никто другой этого не видит, и при выходе из группы это удаляется. Если один из двух участников заблокировал другого, ни один не видит сообщений другого. Удалённое сообщение сразу исчезает вместе с медиа; ответы на него теряют цитату. Если руководство или тот, кому разрешено модерировать, удаляет чужое сообщение, это записывается в журнал группы без содержания и без обоснования. После выхода из группы твои сообщения остаются в ней; если ты этого не хочешь, удали их заранее. Кого упомянули в сообщении через @имя или — ролями с этим правом — через @everyone, тот получает уведомление с названием канала и группы, без текста; через @имя — только если он разрешает упоминания пишущему, через @everyone — только если колокольчик группы не выключен. На сообщения других можно пожаловаться команде; жалоба прекращается вместе с сообщением. Если команда удаляет сообщение, оно исчезает вместе с медиа; его начало (до 160 символов) сохраняется в деле, чтобы автор видел, о чём шла речь.
• Заглушение каналов: Ты можешь заглушить чат-канал для себя на 1, 8 или 24 часа или пока не включишь снова. Сохраняются канал, окончание и время; больше никто этого не видит. Пока канал заглушён, он не учитывается в непрочитанном, и @everyone из него до тебя не доходит, а твоё @имя доходит. Заглушение заканчивается по истечении времени (удаляется следующей ночью), когда ты включаешь канал снова, при выходе из группы или вместе с каналом или аккаунтом; оно есть в экспорте данных.
• Голосовые каналы (пока только в группах, которые открывает оператор): участники разговаривают там друг с другом и, если им можно, показывают камеру или экран. Звук и изображение идут в зашифрованном виде (WebRTC, DTLS-SRTP) на собственный медиасервер tellmelo (LiveKit), который передаёт их остальным в канале; поэтому они не зашифрованы сквозным шифрованием, и ничего не записывается. Пока ты в канале, медиасервер знает твой аккаунт, имя, фото, IP-адрес, включены ли микрофон, камера или показ экрана, выключен ли у тебя звук, и твой пинг с типом соединения (UDP, TCP или через собственный TURN-сервер tellmelo); это видят и все, кто видит канал в группе, и команда в администрировании. Ничего из этого не сохраняется. Отключение микрофона или участия модерацией попадает в журнал группы. Шумоподавление и голосовая активация работают только на твоём устройстве. Реакции (эмодзи) идут тем же путём к остальным в канале и не сохраняются; громкость, с которой ты слышишь кого-то, хранит только твой браузер.
• Боты: участники могут создать до пяти ботов — аккаунтов вида «бот» без пароля и адреса почты, которыми управляют через собственный API-ключ и которых нельзя найти в поиске. Хранятся имя, имя пользователя, описание, запрашиваемые права, могут ли другие добавлять бота, кто и когда его создал (bots). Группа принимает бота, только если согласен тот, кто может там управлять ролями; бот получает собственную роль с выданными правами (community_roles.bot_id), добавление и удаление записываются в журнал группы. Бот носит знак «Бот» и читает и пишет в каналах, которые может видеть, как участник; tellmelo передаёт ему это содержимое через API. За то, что делает с ним программа за ботом, отвечает человек, который её запускает. Бот удаляется, когда этот человек удаляет его или свой аккаунт; из группы он уходит, когда группа его удаляет (ст. 6 п. 1 лит. b GDPR).
• Боты в реальном времени: У бота могут быть фото и баннер, которые загружает его создатель. Боты, открытые создателями для всех, показываются в каталоге с именем, фото, описанием, создателем и числом групп. В каталог бот попадает только после проверки командой; для этого сохраняются его категория, статус проверки с заметкой команды для создателя, выделяет ли его команда и с какого момента он в каталоге (bots.category, review_state, review_note, featured, listed_at). То, что происходит в группе с ботами (написано или удалено сообщение, кто-то вступил или ушёл, кто-то вошёл в голосовой канал), хранится один день как событие (bot_events) для ботов этой группы; бот получает только события каналов, которые может видеть, потоком, постранично или с доставкой на HTTPS-адрес, заданный создателем (bots.webhook_url, с подписью и повторами). За это отвечает тот, кто управляет ботом (ст. 6(1)(b) GDPR). Боты могут предлагать команды, которые поле чата подсказывает после «/», и кнопки в своих сообщениях; их использование сообщает боту, кто их использовал, и хранится 15 минут, чтобы он мог ответить (bot_interactions). Ответ бота для одного участника показывается в канале только ему, в течение дня (bot_private_replies). Бот может занять место в голосовом канале, чтобы проигрывать музыку или звук, с пометкой «бот»; там он никого не слышит.
• Роли: Руководство и те, кому разрешено управлять ролями, могут создавать роли с названием, цветом и правами и выдавать их участникам. Какие роли есть у человека, участники группы видят в списке участников; для каждой роли сохраняется, у кого она есть и с какого времени. При выходе из группы она прекращается.
• Хаб и символы каналов: У каждой группы есть хаб — её страница с картинкой, обложкой, названием, описанием и частями, которые включает руководство, в том числе с собственным текстом руководства; его видят все, кто видит группу. Тот, кто может управлять каналами, может дать каналам и категориям символ: эмодзи, символ из набора tellmelo или свою картинку, с цветом и формой; участники видят его в списке каналов. Своя картинка проходит проверку изображений, принадлежит тому, кто её загрузил, и удаляется, как только больше нигде не используется.
• Закреплённые сообщения: Тот, кто может модерировать в чат-канале, может закреплять сообщения, не больше 50 на канал; все, кто видит канал, находят их на его боковой панели. Вместе с сообщением хранится, с какого времени и кем оно закреплено; кто закрепил, не видит никто. Вместе с сообщением исчезает и закрепление. Поиск в канале ничего не сохраняет.
• Ветки в каналах: Ответы на сообщение в чат-канале могут идти в его ветку, а не в чат; мы храним, к какому сообщению относится ответ. Видно всем, кто видит канал. Если первое сообщение удаляется (автором, модерацией или вместе с его аккаунтом), ветка заканчивается со всеми ответами.
• Роли на выбор и приветствие: Руководство группы может предложить роли, которые участники сами берут и снова снимают; они позволяют не больше, чем участвовать (смотреть, писать, вложения, голосовые каналы), и часто открывают свои каналы. Кто носит такую роль, участники видят так же, как и другие роли. В первые дни в группе приложение один раз приветствует тебя приветственным текстом и этими ролями; что это уже было, запоминает только твоё устройство.
• Эмодзи группы: Тот, кто может управлять каналами группы, может дать ей до 50 собственных эмодзи (изображение и имя); участники используют их в своих текстах, а каналы — как символы, и тексты показывают их всем читателям. Изображение принадлежит тому, кто его загрузил; эмодзи исчезают вместе с группой.
• Пригласительные ссылки: Те, кому разрешено приглашать, могут создавать ссылки на группу. Сохраняется, кто и когда создал ссылку, как долго и сколько раз она действует и сколько раз ею воспользовались, но не кем; это видят руководство и тот, кто её создал. Кто вступает по ссылке, считается приглашённым. Истёкшие и исчерпанные ссылки tellmelo удаляет в следующую ночь, отозванные — сразу. Ссылка работает, только пока её создатель может приглашать; она удаляется, когда он выходит из группы или удаляется его аккаунт.
• Канал ленты: Публикации в канале ленты группы появляются и в публичной ленте, если группа видна читающему; писать там могут только руководство и роли с этим правом. Если канал ленты выключен, его публикации остаются сохранёнными и в экспорте данных, но пока он снова не будет включён, их видит только автор — в своём профиле, где может их и удалить; вместе с аккаунтом они удаляются.
• Заявки на вступление хранятся вместе с вопросами в точной формулировке в зашифрованном виде; читать их может руководство, а не команда tellmelo.
• Приглашения: руководство видит, открыты они или отклонены; отклонённые хранятся 30 дней, чтобы не приглашать снова сразу же.
• Модерация в группе: руководство и роли с соответствующим правом могут заглушать участников ниже себя (от минуты до недели; тогда они могут только читать, даже после выхода и повторного вступления), исключать их (они могут вступить снова) или банить (на 1, 7 или 30 дней или до снятия; до тех пор нельзя вступить или подать заявку). Для каждого заглушения и бана сохраняется, кого он касается, до какого времени, когда и кем; это видят те, кто может заглушать или банить, а затронутый — через своё уведомление и в экспорте данных, там без указания, кто это был. tellmelo удаляет истёкшие следующей ночью, сразу — вместе с группой или аккаунтом.
• Решения в группе, включая удаление публикации, записываются с обоснованием (в зашифрованном виде; при заглушении по желанию), которое видит руководство; затронутые получают обоснование уведомлением.
• Публичные страницы групп показывают название, описание, изображения, темы, число участников и новые публикации, последние — только от участников, которые сами находимы.
• О нарушениях группы решает человек из команды с обоснованием; руководство может обжаловать (модерация).

Расстановка страниц, виджеты и галерея

На компьютере ты можешь сам расставить части страницы, поставить строку меню сверху или слева и добавить виджеты; функция включается постепенно. В твоих настройках сохраняются расстановка каждой страницы (положение, размер, направление и вид частей), строка меню, место, куда ты передвинул карандаш, и твои виджеты с их настройками, в том числе текст заметки, а также название и время обратного отсчёта (settings.ownLayout); это видишь только ты. Чтобы расставленная страница сразу появлялась правильно при загрузке, браузер запоминает, расставлял ли ты страницы и где находится строка меню (локальное хранилище tellmelo-own-layout). Если виджет показывает загруженное тобой изображение, отмечается, что оно используется, чтобы очистка неиспользуемых изображений его не удалила (widget_media). Виджет с постами при показе загружает самые новые посты, которые ты и так можешь видеть. Всё это заканчивается, когда ты удаляешь виджет или свой аккаунт, и входит в экспорт данных (ст. 6 п. 1 лит. b GDPR). Простые виджеты сохраняют то, что ты вводишь, тоже только в твоих настройках: пункты чек-листа, часовые пояса, варианты для жребия, ссылки, привычки с отмеченными днями за последние 28 дней и твоё настроение по дням за последние 30 дней. Виджеты чатов, групп, уведомлений, трендов, челленджа и твоей недели показывают только то, что ты и так видишь, и ничего дополнительно не сохраняют. Настроение может что-то сказать о твоём здоровье: оно сохраняется, только если ты сам его вводишь, никому не показывается и в любой момент удаляется кнопкой «Удалить историю» (ст. 9 п. 2 лит. a GDPR).

• Свои виджеты: ты можешь сам писать виджеты на HTML со стилями и скриптами. Сохраняются название, описание, категория, код, когда ты его написал и изменил и отправлял ли ты его (gallery_items). Виджет работает в изолированной рамке: без доступа к твоему аккаунту, cookie и хранилищу tellmelo и без подключения к интернету. Он узнаёт только время, язык, светлую или тёмную тему и свой размер и может получать публичные посты #тега или профиля (текст, имя, имя пользователя, время), которые никуда не может отправить. Если автор указывает, что виджет использует интернет (gallery_items.network), он может дополнительно загружать содержимое с https-адресов вне tellmelo и отправлять туда запросы; их владельцы узнают при этом твой IP-адрес и то, что браузер передаёт с каждым запросом, и сами отвечают за это. Такой виджет работает только после того, как ты разрешил его после предупреждения; какие ты разрешил и какие заблокированы, хранится в твоих настройках (settings.widgetNetwork), пока ты это не изменишь (ст. 6 п. 1 лит. a GDPR). Если виджет пытается что-то скачать, это пресекается, виджет блокируется у тебя, а попытка один раз на участника записывается со временем для проверки командой (gallery_download_reports), пока команда не примет решение; автор не узнаёт, у кого это случилось (ст. 6 п. 1 лит. f GDPR: защита участников от вредного содержимого).
• Рисунки: то, что ты рисуешь на странице при расстановке, лежит под её частями и виджетами и сохраняется в твоих настройках: каждая линия и фигура с инструментом, цветом, толщиной и точками (settings.ownLayout); видишь это только ты, пока не поделишься этим как дизайном. Это заканчивается, когда ты удаляешь рисунок или аккаунт, и входит в экспорт данных (ст. 6 п. 1 лит. b GDPR).
• Дизайны: своей расстановкой можно поделиться как дизайном: всё приложение так, как ты его расставил, то есть все страницы, группы и сообщения, панель меню, виджеты и твои рисунки, а также подробное описание, если ты его напишешь (gallery_items, gallery_items.details). Изображения никогда не передаются, свои виджеты — только если они есть в галерее; заметки, обратные отсчёты и рисунки — так, как ты их ввёл. Кто применяет дизайн, заменяет им свою расстановку; сразу после этого это можно отменить.
• Галерея и проверка: то, что ты отправляешь, проверяет команда, прежде чем другие смогут это найти. Для этого она видит название, описание, код или дизайн, а также твоё имя и имя пользователя и может вернуть тебе с заметкой; сохраняется, кто из команды проверял (gallery_items.reviewer_id). В галерее все участники видят это с твоим именем, именем пользователя и числом использований; кто взял, только подсчитывается, один раз на участника (gallery_uses), и никому не показывается. Если ты меняешь одобренное, другие получают проверенную версию, пока команда не одобрит изменение; если ты это удаляешь, оно исчезает из галереи и у всех, кто им пользуется (ст. 6 п. 1 лит. b GDPR; для проверки ст. 6 п. 1 лит. f GDPR: защита участников от вредного или вводящего в заблуждение контента).
• Оценки и отзывы: виджеты, дизайны и боты из каталога можно оценить от одной до пяти звёзд и написать отзыв, но не свои собственные записи. Сохраняются звёзды, текст и время оценки и последнего изменения (gallery_ratings). Все участники видят среднюю оценку и сколько человек поставили сколько звёзд; твой отзыв они видят с твоим именем и именем пользователя, звёзды без отзыва — без имени. Ты можешь изменить или удалить и то и другое в любое время; это также заканчивается, если запись удаляется или ты удаляешь аккаунт, и входит в экспорт данных (ст. 6 п. 1 лит. b GDPR). Если ты жалуешься на отзыв, это сохраняется один раз для каждого участника со временем, пока команда не скроет отзыв или не признает его допустимым (gallery_review_reports); автор не узнаёт, кто пожаловался. Скрытый отзыв видит только его автор, его звёзды продолжают учитываться (ст. 6 п. 1 лит. f GDPR: защита участников от оскорбительных или вводящих в заблуждение отзывов).

Местная редакция

Для местной редакции (Art. 6(1)(b) GDPR; для жалоб и просмотров — Art. 6(1)(f) GDPR: безопасная платформа, показывать охват статей):

• Приглашение с регионом и временем — пока ты не ответишь или команда его не отзовёт. Роль: регион, собственный текст значка, если он выдан, область (центр и радиус), кто пригласил, начало и конец. Область tellmelo определяет по названию региона через поиск адресов, в который уходит только это название (Photon), иначе — по месту в твоих настройках.
• Статьи: заголовок, лид, текст, обложка, даты, статус. Опубликованные публичны, доступны для чтения без аккаунта и открыты для поисковых систем, с твоим именем и значком; удаляются, когда ты удаляешь их или свой аккаунт.
• Подписка на регионы: на какие регионы ты подписан и с какого времени — для уведомлений о новых статьях (можно отключить). Для карточки в ленте и подборки рядом с тобой регионы с местом из твоих настроек сравнивает только сервер; место не передаётся.
• Просмотры — только как сумма за день по каждой статье, отдельно для участников и посетителей, без просмотров автора и поисковых систем; кто прочитал, не сохраняется.
• Жалобы: статья, причина, аккаунт, подавший жалобу, время и решение — до 180 дней после решения; кто пожаловался, видит команда, а не автор.
• Роль, приглашение, статьи, регионы, на которые ты подписан, и твои собственные жалобы есть в экспорте данных.

Публичный профиль, превью и поисковики

Публичное доступно и находимо и без аккаунта. Ты возражаешь (Art. 21 GDPR) переключателями в Настройки → Приватность; уже проиндексированное поисковики удаляют по своим правилам (Art. 6(1)(f) GDPR: делать публичный контент доступным и находимым, а ссылки, которыми делятся, — заметно ведущими ко входу).

Публичный профиль (по умолчанию включён, под контролем выключен): по адресу /u/Nutzername любой видит твой профиль так же, как участник, с твоими публичными публикациями, а на их страницах — с ответами других публичных профилей; отметки «Нравится», ответы, подписка и сообщения требуют входа. Никогда не публичны публикации для близких друзей, из непубличных групп, запланированные и удалённые. Если твой профиль не публичный, ссылка и превью показывают только имя, имя пользователя и фото профиля с просьбой войти.

Находимость в поисковиках (отдельный переключатель, по умолчанию включён, только с публичным профилем): поисковики могут индексировать профиль, публичные публикации и их изображения, они попадают в карту сайта, а твои публикации могут появляться как примеры на публичных страницах tellmelo, например на странице входа (переводятся на этом сервере, не сохраняются). Если выключить, твои страницы закрыты для поисковиков, а твой контент отсутствует на индексируемых страницах.

Ссылки, которыми делятся: для ссылки на публикацию в мессенджере или сети его сервер загружает превью с именем, фото профиля, началом текста и первым изображением, у публичных профилей — больше; для публикаций из непубличных групп, от заблокированных аккаунтов и удалённых превью нет. Ссылки на #тег, «Обзор», группы, магазин и «Пост недели» имеют превью с заголовком и изображением; #тег показывает посетителям без аккаунта также свои новые публикации от участников, контент которых поисковики могут индексировать. Эти страницы не включаются в поисковики.

Короткие ссылки на tmlo.app (/@… — профиль, /+… — группа, /t/… — #тег, иначе код) сразу перенаправляют в tellmelo, с журналом сервера, как любое обращение. Для кода tellmelo сохраняет только цель и время создания, но не кто его создал или открывает. Имя для собственной публикации (с подпиской) tellmelo сохраняет вместе с публикацией и временем, пока публикация не будет удалена.

Лента и программы

Лента и выученные темы

Темы публикаций: сервер присваивает каждой публикации несколько тем — по #тегам, по постоянному списку слов на четырнадцати языках и по ключевым словам текста, переведённым на английский на этом сервере. Видны они только членам команды с соответствующим правом; они влияют на ленту, поиск, панель #тегов и автоматизации и прекращаются вместе с публикацией (Art. 6(1)(b) GDPR).

Выученные темы (по умолчанию включены, под контролем выключены): чтение, поиск, отметки «Нравится», голосования, ответы, репосты и ответы на редкие вопросы в «Для тебя» дают баллы темам публикаций, только из списка слов, в котором намеренно нет политики, религии, здоровья и сексуальности. Для каждой темы сохраняются счёт и время, а не то, что ты читал или искал; без повода баллы через 30 дней уменьшаются вдвое. По ним «Для тебя» взвешивает твою ленту и предлагает группы: профилирование в смысле Art. 4(4) GDPR, без автоматизированного решения по Art. 22 GDPR. В Настройки → Твоя лента ты видишь и удаляешь темы; отключение — это твоё возражение (Art. 21 GDPR), и оно удаляет всё выученное (Art. 6(1)(f) GDPR: лента, которая тебе подходит).

То, что ты настраиваешь сам, например отслеживаемые #теги, временные пожелания, ползунки и сохранённые миксы, хранится только в твоих настройках и никому не видно; зеркало и похожие виды создаются при открытии и не сохраняются (Art. 6(1)(b) GDPR).

Одолженная лента существует только по твоему желанию: по ссылке другой человек час читает твою ленту «Для тебя» в твоём порядке и так узнаёт, какие темы тебя занимают; на один час сохраняется строка со случайным ключом (Art. 6(1)(a) GDPR).

Охват, продвижение и партнёры

tellmelo считает показы публикации один раз на человека в день с помощью необратимого отпечатка из дня, человека и публикации, который удаляется через 2 дня; число видят автор и команда. Команда может продвигать публикации (с пометкой, не продаётся) или придерживать их; это отмечается у публикации и в журнале аудита. За день и неделю tellmelo считает, сколько участников были активны и вернулись, и сохраняет только эти суммы (Art. 6(1)(f) GDPR: показывать эффект публикаций, улучшать честный сервис). У партнёрских аккаунтов tellmelo смотрит только на дату последней публикации, чтобы напоминать о публикациях (Art. 6(1)(b) GDPR).

Программа «Находка»

Для программы «Находка» (условия использования) tellmelo регулярно вычисляет из уже сохранённых данных значение твоей активности за последние недели (сколько дней ты писал и как реагировали другие) и не сохраняет его; команда видит его только у участников с местом и у следующих в очереди. Это профилирование в смысле Art. 4(4) GDPR без автоматизированного решения: место появляется только с твоего согласия, под контролем — с согласия родителей (Art. 6(1)(f) GDPR: делать заметными активных участников; возражение — «Больше не спрашивать» или в Настройки → Участие).

Сохраняется, приглашён ли ты, есть ли у тебя место или ты больше не хочешь, чтобы тебя спрашивали, и твой выбор для портрета. С местом «Обзор» показывает всем участникам твой профиль со знаком «Находка», избранные публичные публикации, сколько дней за последние четыре недели ты писал, и твой самый частый #тег. Подходит ли место к #тегам и интересам человека, tellmelo вычисляет при показе только для него. После окончания твой профиль до 30 дней стоит в разделе «Прежние находки»; для этого сохраняется, с какого момента существовало место (Art. 6(1)(b) GDPR).

«Новички» показывает аккаунты последних 14 дней с публичными публикациями, вычисляя их при показе, без аккаунтов под контролем и без участников, возразивших против программы.

Награды, ритм верности и искры

Для программ без денежной ценности (условия использования) tellmelo сохраняет только то, что им нужно: для ритма верности — дни текущей недели, когда ты был активен (без времени, по твоим публикациям и реакциям), день и неделю последнего визита, засчитанные недели и достигнутые ступени; для искр — по каждой искре происхождение, срок действия и какой группе она сейчас отдана; для групп — какие бонусы включило руководство и с какого времени, а также собственная ссылка-приглашение группы; для наград — достигнутые ступени. Твой ритм видишь только ты; кому ты даёшь искры, другие не видят, группы — только число. Участие tellmelo проверяет по уже сохранённым данным вроде возраста аккаунта, подтверждённого адреса или первых шагов (Art. 6(1)(b) GDPR).

Пост недели

Для поста недели (условия использования) tellmelo по воскресеньям по уже сохранённым данным выбирает публичные публикации прошлой недели с наибольшим откликом, не больше одной от человека, никогда — от аккаунтов под контролем или участников, отключивших это в Настройки → Участие → Пост недели. Победители попадают в альбом года по адресу /album; посетители без аккаунта видят там только публикации публичных профилей, находимых в поисковиках. Удалённые публикации исчезают из голосования и альбома (Art. 6(1)(f) GDPR: выбор, который делают сами участники; возражение — переключателем или отзывом публикации).

По каждому голосованию сохраняются выбранные публикации с откликом и были ли они отозваны или убраны командой; кто за что голосовал — только до закрытия голосования и никому не видно, даже команде, после этого — только число голосов (для голосования — Art. 6(1)(b) GDPR).

Дуэль постов

В «Дуэли постов» участники в одиночку, против того, кто тоже сейчас ищет соперника, или по вызову угадывают, какая из двух публичных публикаций получила больший отклик в свой первый день. Для этого tellmelo по уже сохранённым данным выбирает публикации публичных профилей возрастом от одного дня до недели и считает их отметки «Нравится», ответы и репосты за первый день; никогда — публикации самих игроков или аккаунтов, которые игрок заблокировал или скрыл либо которые заблокировали игрока, никогда — от аккаунтов под контролем или участников, отключивших это в Настройки → Участие → Дуэль постов. Если это отключено, текста твоих публикаций нет и в прежних результатах (Art. 6(1)(f) GDPR: игра с и без того публичными публикациями; возражение — переключателем).

По каждой дуэли tellmelo сохраняет, кто с кем играет и как дуэль возникла, две публикации каждого раунда с их откликом, когда каждый игрок начал и его догадку в каждом раунде со временем. Игроки видят имя и фото профиля соперника, его догадки — только после раунда, а также результат. Вызвать можно только участников, которые на тебя подписаны; вызов и результат приходят уведомлением. Аккаунты под контролем играют только в одиночку. Сколько человек сейчас ищут соперника, другие видят только в виде числа (Art. 6(1)(b) GDPR).

Рейтинг и таблица лидеров: По дуэлям за месяц tellmelo вычисляет для каждого игрока рейтинг (по догадкам, их скорости и результатам против других) и сохраняет его вместе с числом игр. Таблица лидеров показывает участникам имя, фото профиля, рейтинг и игры за месяц; никогда — аккаунты под контролем, никогда — между двумя аккаунтами, если один заблокировал другой; отключить можно в Настройки → Участие → Дуэль постов (Art. 6(1)(f) GDPR: соревнование между игроками; возражение — переключателем). Первые двое за месяц получают приз (условия использования); сохраняется, кто какое место занял и с каким рейтингом (Art. 6(1)(b) GDPR).

Блокировка других устройств: Пока ты играешь, tellmelo запоминает, в какой сессии идёт игра, вместе с названием устройства из входа в аккаунт и до конца игры, но не дольше нескольких минут, блокирует твои другие сессии и ключи API; они показывают только, на каком устройстве идёт игра. После этого запись удаляется (Art. 6(1)(f) GDPR: честная игра без подсматривания на стороне).

Дуэли хранятся 90 дней после окончания, поиски и вызовы, которые никто не принял, — один день после истечения срока, рейтинги — 90 дней после их месяца, выданные призы — один год; твои дуэли, догадки, рейтинги и призы есть в экспорте данных.

Адвент-календарь и розыгрыш

В декабре адвент-календарь по уже сохранённым данным считает, что ты делал за день в tellmelo, например публикации, ответы, отметки «Нравится» и голоса «за»; заново сохраняется, какие окошки ты открыл(а) и когда. Подарки попадают в твой инвентарь (Art. 6(1)(b) GDPR).

По каждому билету розыгрыша tellmelo сохраняет номер билета, случайный код, время, редакцию условий участия и твоё подтверждение, что тебе не меньше 18 лет; дата рождения для этого только считывается. Команда может посмотреть, какому аккаунту принадлежит номер билета и какой номер билета у аккаунта, чтобы проверить участие и выигрыш; код при этом не показывается, а каждый такой просмотр фиксируется в журнале команды. Список билетов публикуется без имён; публичное случайное число берётся у drand, при этом туда не уходят данные о тебе.

Если ты выиграешь, tellmelo сохраняет в зашифрованном виде выбранный способ выплаты и адрес PayPal или магазин и проверяет твой возраст по документу, удостоверяющему личность, копия которого затем удаляется (Art. 6(1)(b) GDPR; для проверки возраста также Art. 6(1)(f) GDPR: выигрыши только совершеннолетним).

Окошки хранятся до 31 марта после их декабря, билеты — 90 дней после закрытия списка билетов (после этого — только вытянутые номера), данные для выплаты — 30 дней после выплаты или утраты выигрыша; окошки и билеты есть в экспорте данных.

Приложения и уведомления

Mandy, системный аккаунт

Mandy — системный аккаунт tellmelo: не человек и не искусственный интеллект, а твёрдые правила и простые подсчёты, которые задаёт команда. От её имени работают проверка ссылок, автоматическая модерация и пометка сведений об организациях; о том, что при этом бросается в глаза, решает команда. Писать Mandy нельзя, и она не читает сообщения; в незашифрованных сообщениях она проверяет только ссылки и, если оператор это включает, сведения об организациях. То, что Mandy сохраняет о тебе, прекращается вместе с аккаунтом (Art. 6(1)(f) GDPR: живая платформа, на которой новые участники находят общение).

• Подсказки, чтобы поучаствовать, приходят от Mandy, каждая с причиной, например о публикации без ответа, о челлендже недели, о том, как приняли твою публикацию, и через два–четыре дня после регистрации один раз о первых шагах. Максимальное число в день задаёт команда, считая по имеющимся уведомлениям. Сохраняется только, когда пришли побуждение написать и напоминание, чтобы они не повторялись, и твой выбор в Настройки → Уведомления, где подсказки можно отключить.
• Публикации и ответы: Mandy приветствует новых участников под их первой публикацией, благодарит за ответы, задаёт вопросы по оживлённым #тегам, пишет по фиксированным поводам, объявляет челлендж недели, подводит итоги недели, обобщает ответы и продвигает публикации; если она цитирует публикацию или ответ (без ссылок и упоминаний), автор получает обычное уведомление. Каждый текст заранее планируется и хранится с участником и публикацией 90 дней, чтобы команда могла его увидеть и остановить; это есть в экспорте данных. В группах Mandy пишет, только если это включит руководство.
• Что можно Mandy: приветствия, благодарности и продвижение или цитирование твоих текстов ты отключаешь в Настройки → Уведомления (три переключателя в твоих настройках). Кто отключает звук Mandy или блокирует её, не получает от неё ответов.
• Обучение — только по суммам: сколько ответов, отметок «Нравится» (у её ответов — голосов «за») и репостов было у её текстов через 48 часов и в какой час пишут больше всего. Данных об отдельных участниках не возникает; команда может сбросить выученное.
• После перерыва не меньше 7 дней «Для тебя» один день показывает публикации аккаунтов, на которые ты подписан, выше; сохраняется время твоего возвращения, в следующий раз оно перезаписывается. Команда может отключить это для всех.

Push, приложения и письма

Push работает, только если ты включаешь его на устройстве; отозвать можно в любой момент, для каждого устройства отдельно. Ни один push-сервис не получает содержание, только сигнал, что есть что-то новое; текст и число непрочитанного твоё устройство забирает с этого сервера своим ключом. Адрес или идентификатор устройства у push-сервиса и ключи браузера либо отпечаток ключа приложения хранятся, пока ты не выключишь push или не выйдешь. Какие это push-сервисы, указано в разделе Получатели; без сервисов Google приложение для Android само регулярно проверяет новое, приложение для компьютера — пока оно запущено. Уведомление приходит только туда, где ты сейчас пользуешься tellmelo; для этого открытые страницы сообщают, что это за страница и на переднем ли она плане, только в оперативной памяти на 75 секунд (Art. 6(1)(a) GDPR, § 25(1) TDDDG). Кнопки в уведомлении (ответить, лайкнуть, проголосовать, поделиться, подписаться в ответ, принять или отклонить звонок) делают то же, что и в tellmelo; приложения для iPhone и Android отправляют их на этот сервер со своим ключом. Если выбрать раз в день, реакции, новые подписчики, упоминания и новости групп приходят вместе в выбранный час, а не по одному; сообщения и входы по-прежнему приходят сразу. Для этого час и часовой пояс устройства сохраняются в твоих настройках. В приложении для iPhone входящий вызов выглядит как обычный телефонный звонок (CallKit): для этого сохраняется второй идентификатор устройства у Apple, а Apple получает только случайный идентификатор звонка; кто звонит, приложение узнаёт с этого сервера со своим ключом. В журнале звонков телефона эти звонки не появляются.

• В приложениях действует то же самое, а кроме того: виджеты показывают только число непрочитанного, полученное ключом приложения и только на устройстве. Поделиться в tellmelo кладёт то, чем делятся, черновиком в приложение; на сервер оно уходит только вместе с твоей публикацией. Выбор фото открывает системный выбор фото; без какого-либо разрешения приложение получает только выбранные изображения. Блокировку Face ID, Touch ID или кодом устройства проверяет устройство, приложение узнаёт только результат. Значок приложения и «Читать офлайн» (устройство) остаются на устройстве. Чтобы ссылки на tellmelo открывались в приложении, загружается файл этого сайта, в котором названо только приложение, на iOS — через Apple (Art. 6(1)(b) GDPR; для записей на устройстве — § 25(2) Nr. 2 TDDDG).
• Показ в Discord: если Discord запущен на том же устройстве, что и приложение для компьютера для Windows или Linux, оно показывает в твоём профиле Discord, что ты сейчас делаешь в tellmelo («Rich Presence»): сначала раздел (лента, #тег, открытая группа, магазин), в зависимости от выбора — только то, что ты пользуешься tellmelo, или также просматриваемую публичную публикацию или публичный профиль с именем, началом текста и изображением; к этому кнопки на страницу и, пока твой профиль публичный, на твою пригласительную ссылку. Никогда не показываются сообщения, поисковые запросы, непубличные профили и публикации для близких друзей или из внутренних и скрытых групп. Данные уходят только в программу Discord на твоём устройстве; Discord по своим условиям передаёт их всем, кто может видеть твой профиль. tellmelo ничего для этого не сохраняет, твой выбор хранится в приложении для компьютера. Показ вместе с разделом и пригласительной ссылкой включён с самого начала, о чём приложение при первом запуске сообщает с кнопкой к настройкам. Показ и пригласительную ссылку можно отключить в Настройки → Оформление и приложение → Discord (Art. 6(1)(f) GDPR: показывать твоё использование tellmelo в Discord, как там принято).
• Бета приложения для iOS через TestFlight от Apple (Apple Distribution International Ltd., Корк), с условиями и уведомлениями о конфиденциальности Apple. Отзывы и отчёты о сбоях из TestFlight оператор получает через Apple вместе с данными, которые Apple к ним прилагает, например устройство и версию системы (Art. 6(1)(f) GDPR: улучшить приложение). Покупки в бете — бесплатные тестовые покупки в тестовой среде Apple; tellmelo сохраняет в связи с этим только балл тарифа, который первая тестовая покупка аккаунта приносит в благодарность (Art. 6(1)(b) GDPR).
• Просьба об оценке: не раньше чем через две недели после регистрации, не чаще раза в четыре месяца, через Apple, которая также решает, появится ли окно; оценивают только там. Сохраняется время последней просьбы (Art. 6(1)(f) GDPR: сделать приложение известнее).
• Свои звуки (с подпиской): твой браузер вырезает пять секунд из записи, сервер перекодирует их без метаданных и хранит, пока ты не удалишь звук (Art. 6(1)(b) GDPR).
• Письма об аккаунте, безопасности, покупках, решениях и изменённых правовых текстах ты получаешь, пока существует аккаунт (Art. 6(1)(b) GDPR). Обзор после семи дней отсутствия (только числа) и похожие письма — только с твоего согласия, которое можно отозвать одним нажатием в каждом письме, не под контролем (Art. 6(1)(a) GDPR, § 7(2) Nr. 2 UWG).

Инструменты

Инструменты для организаций, партнёров и разработчиков

Инструменты (Art. 6(1)(b) GDPR; по отношению к людям, которые с ними соприкасаются, например в переписке с организацией или как инициатор вебхука или автоматизации, — Art. 6(1)(f) GDPR: обрабатывать запросы, доставлять события, реакции как вручную):

• Командный доступ и командный ящик (Организация): до пяти человек действуют от имени аккаунта, видят то, что видит он, включая сообщения аккаунту, и пишут от его имени; их действия 90 дней хранятся в журнале аккаунта. По перепискам они отмечают, кто ими занимается, и ведут зашифрованную внутреннюю заметку, за которую отвечает организация.
• События, адреса и дополнения профиля (Организация) публично стоят в профиле. Записи на события организация видит с именем и @именем, другие — только как число; события и записи удаляются через год после события.
• Виджет для сайта и вебхуки: виджет показывает публичные публикации публичного профиля на чужом сайте, без cookie и скрипта. Вебхуки отправляют на указанный https-адрес вид и идентификаторы новых событий и @имена, никогда тексты, партнёрам — ещё и состояние их квоты; за приём отвечает тот, кто их указывает.
• Ключи API показываются один раз и не сохраняются; остаются необратимый отпечаток, права, последнее использование и число вызовов, а не то, что запрашивалось. Ключи сайта для выбора GIF на собственных сайтах публичны; сохраняются ключ, название, указанные адреса и время создания, пока ты его не удалишь. Выбор показывает только то, что участники разрешили для других сайтов; его обращения сервер обрабатывает так же, как встроенные GIF и видео. В разделе разработчика (/developer) у тебя может быть до десяти API-ключей, у каждого — название, права и при желании последний день (api_keys.name, api_keys.expires_at); обновлённый ключ заменяет секрет, просроченные отклоняются. Каждое изменение там, в том числе ключей сайтов, ботов, вебхуков и приложений, ты подтверждаешь паролем и, если она включена, кодом двухфакторного входа; считаются только неверные попытки, как при входе.
• Автоматизации (для ролей с соответствующим правом): сценарии действуют от имени твоего аккаунта по расписанию (публикации, в том числе с #тегами, названные профили, профили, на которые ты подписан или не подписан; раз в несколько часов, по желанию только в определённое время, с заданной вероятностью) или по событиям (каждая новая публикация, новые публикации профилей, с #тегами или в группах, первые публикации новых участников, новые подписчики, ответы под твоими публикациями) — с отметкой «Нравится», для ответов — голосом «за» (никогда против голоса «против» твоего аккаунта), репостом, ответом из твоих текстов или подпиской. Сохраняются сценарии (расписание или событие, названные профили, группы или #теги, блоки с текстами, последний запуск и сколько он запланировал), а по каждому запланированному или пропущенному действию — публикация, ответ или человек, действие, выбранный текст и время, до 2 дней после этого времени, выполненные — 8 дней, чтобы не повторялось то, что ты отменил. Читаются только уже сохранённые данные; каждое действие проходит те же проверки, что и вручную.

Вход на другие сайты

Другие сайты могут предлагать вход с твоим аккаунтом tellmelo. Только когда ты выбираешь «Разрешить», сайт получает твоё имя пользователя, твой подтверждённый адрес почты и идентификатор только для этого сайта или часть этого, никогда — имя, фото профиля, публикации, контакты или пароль. Сохраняется твоё согласие с объёмом и датами, для передачи — одноразовый код не дольше минуты. Удалить можно в Настройки → Приложения и API → Подключённые сайты; за то, что сайт делает с данными, отвечает он сам. Аккаунты под контролем этим пользоваться не могут (Art. 6(1)(a) GDPR).

Кто подаёт заявку на приложение для своего сайта, указывает название, сайт, политику конфиденциальности, адреса возврата и цель; команда решает с обоснованием (Art. 6(1)(b) GDPR). Одобренное приложение можно изменить в любой момент: изменение лежит рядом с приложением (oidc_clients.changes), пока команда его не примет или не отклонит с объяснением, и ты можешь его отозвать; до тех пор действует одобренная версия.

Модерация, поддержка и безопасность

Модерация и статус аккаунта

Жалобы, решения, предупреждения, ограничения и обжалования сохраняются, чтобы решения можно было проверить; твои собственные тексты в них — в зашифрованном виде. Своё положение ты видишь в «Статус аккаунта»; каждое решение ты получаешь с обоснованием уведомлением и по почте, без имени того, кто решал (Art. 6(1)(b) и (f) GDPR: защита участников от спама, мошенничества и вредного контента, порядок и безопасность платформы).

Автоматическая модерация: прежде чем публикация появится, правила оператора по уже сохранённым данным (например возраст аккаунта, последние тексты, ссылки, упоминания, слова из списка команды) проверяют, должен ли её сначала посмотреть человек и не приходит ли она слишком быстро, слишком часто или с заблокированной ссылкой; до этого её видишь только ты, с причинами. Решает человек, в том числе об ограничениях после очень быстрых публикаций. Команда исключена.

Порядок жалоб: Mandy сортирует открытые жалобы для команды по фиксированным весам (самая серьёзная причина, число пожаловавшихся, дела против автора за последние 90 дней, время ожидания), угроза детям — всегда наверху. О каждой жалобе решает команда; новых данных при этом не возникает.

Проверка изображений: модель распознавания на этом сервере проверяет каждое загруженное изображение, видео и GIF на порнографические или откровенно сексуальные изображения, в том числе нарисованные, у видео и GIF — по превью и нескольким отдельным кадрам. Сохраняется только значение в процентах; ничего не уходит третьим лицам. Выше порога оператора публикация ждёт человека; как ответ, сообщение, фото профиля или изображение группы такое изображение не принимается. Команда исключена; о чатах со сквозным шифрованием см. там.

Временно скрыто: помощники и команда могут скрыть публикацию или данные профиля (описание, фото профиля и обложку, сайт) до решения модерации; это сохраняется как жалоба, прежнее состояние профиля — в зашифрованном виде, до 30 дней после решения. Будет ли содержимое восстановлено или останется удалённым, ты узнаёшь из уведомления, без имени того, кто его скрыл.

Вид команды и роли: для модерации члены команды с таким правом видят и контент, который был бы скрыт от них как от участников, например из-за блокировки или для близких друзей, — с пометкой и без возможности с ним взаимодействовать. У каждого члена команды есть роль с заданными правами; роли и их изменения записаны в журнале аудита.

Контакт, поддержка и сообщения об ошибках

• Обращения и жалобы на нарушение авторских прав через формы или по почте на адрес из выходных данных: имя, адрес почты, сообщение и, для жалоб на нарушение авторских прав, адрес для вручения документов хранятся вместе с ответами в зашифрованном виде; tellmelo забирает почту с собственного сервера, вложения остаются там, автоматически отправленные письма удаляются без обработки как обращения. Твоя оценка закрытого обращения привязывается к тому члену команды, который его обрабатывал (Art. 6(1)(f) GDPR: отвечать на обращения; для жалоб на нарушение авторских прав также Art. 6(1)(c) GDPR в сочетании с § 10 DDG).
• Справочный центр и поддержка, в том числе на собственных поддоменах вроде help. и support., работающих на том же сервере: запрос в поддержке дополнительно сохраняет свою тему. Чтобы ты мог получить по почте ссылки на свои запросы, к каждому запросу хранится необратимое ключевое значение твоего адреса почты (HMAC); после входа «Мои запросы» показывает запросы, отправленные из аккаунта. То, помогла ли статья, учитывается только как число на статью, без связи с тобой (ст. 6(1)(f) GDPR: отвечать на запросы и улучшать справку).
• Вопросы по заказу из инвентаря: сообщение (в зашифрованном виде) вместе с ответами, твоё имя, адрес почты твоего аккаунта (в зашифрованном виде) и заказ; команда видит, что, когда, за сколько и через какого поставщика было заказано, и может вернуть деньги (Art. 6(1)(b) GDPR).
• Запросы по GDPR (на доступ, удаление и другие) команда ведёт в списке с видом, поступлением, сроком, продлением с причиной, исполнением и тем, кто их внёс (кто их исполняет, записано в журнале аудита); список удаляется вместе с запросом или аккаунтом (Art. 6(1)(c) в связи с Art. 5(2) и Art. 12(3) GDPR).
• Сообщения об ошибках: раздел, описание (в зашифрованном виде), версия, браузер и система в двух словах, экран и по желанию снимок экрана; что отправится, ты видишь заранее (Art. 6(1)(b) GDPR).
• Тикеты: жалобы, обращения и другие дела команда ведёт как тикеты — с ответственным, статусом и внутренними заметками (в зашифрованном виде), которые ты не видишь (Art. 6(1)(f) GDPR: упорядоченная обработка).
• Доступ поддержки: только если ты соглашаешься по ссылке в письме, член команды 24 часа действует в твоём аккаунте, без доступа к данным для входа, платежам, удалению, экспорту данных, согласиям и твоим сообщениям. Каждое изменение фиксируется вместе с прежним состоянием (в зашифрованном виде), чтобы ты мог его отменить; в конце ты получаешь обзор. Завершить можно в любой момент в Настройки → Аккаунт и безопасность (Art. 6(1)(a) GDPR).
• Отзывы: не раньше чем через 14 дней после регистрации карточка в ленте не чаще раза в месяц спрашивает, как тебе нравится tellmelo (пять ступеней, по желанию одно предложение); при удалении аккаунта ты можешь выбрать причину и написать одно предложение. И то и другое добровольно и сохраняется без связи с твоим аккаунтом (ответ или причина, предложение в зашифрованном виде, месяц, язык); оператор видит это в администрировании как сводку. Пожалуйста, не пиши в предложении ничего, по чему можно узнать тебя. В аккаунте хранится только месяц последнего вопроса и ответил(а) ли ты или закрыл(а) карточку (Art. 6(1)(f) GDPR: улучшать tellmelo на основе добровольных отзывов).

Журнал аудита

Решения и вмешательства в администрировании записываются с человеком, предметом, временем и обоснованием, без публикаций и сообщений. Журнал остаётся после удаления аккаунта, чтобы модерацию можно было проверить (Art. 6(1)(f) в связи с Art. 17(3)(e) GDPR: предъявление правовых требований или защита от них). Крупные возвраты и изменения командных ролей выполняются только после согласия второго человека с тем же правом; для этого запрос, кто его сделал и кто принял решение хранятся до 90 дней.

Сроки и права

Как долго хранятся данные

Данные удаляются, как только отпадает их цель, не позже этих сроков; если в разделе выше указан более короткий срок, действует он.

Получатели и третьи страны

• Обработчики в Германии (Art. 28 GDPR, по договору): оператор дата-центра для сервера и сервис рассылки писем; названия — по запросу через форму обратной связи.
• Photon (komoot GmbH, Потсдам): только ввод при поиске адреса.
• Сервисы входа — только если ты их выбираешь: Google (Google Ireland Limited, Дублин), Clovord (Noah-Steffen Pansegrau, Зундерн), Apple (Apple Distribution International Ltd., Корк); они узнают, что вход выполняется в tellmelo.
• Платёжные сервисы — только при покупке: Stripe, Google Play, App Store (Оплата).
• Push-сервисы — только с push и только для сигнала без содержания: в браузере — сервис его производителя (Google, Mozilla, Apple), в приложении для Android — Firebase Cloud Messaging (Google), в приложении для iOS — Apple Push Notification service.
• Discord — только с приложением для компьютера, через программу Discord на твоём устройстве: показ в Discord, пока ты его не отключишь.
• Получатели, которых определяешь ты сам: серверы вебхуков организации или партнёра, сайты, на которые ты входишь через tellmelo, и DuckDuckGo для поиска в окнах браузера приложения для компьютера; за приём они отвечают сами.
• Органы власти и суды — только если этого требует закон (Art. 6(1)(c) GDPR).

Других получателей нет. Третьи страны: в США данные уходят к Google, Apple или Mozilla при push; при оплате и входе через сервис Stripe, Google и Apple могут передавать данные в США. Основание — решение о достаточности защиты по EU-U.S. Data Privacy Framework (Art. 45 GDPR), если поставщик по нему сертифицирован, для push — дополнительно твоё согласие (Art. 49(1)(a) GDPR). Что Discord делает с показом, в том числе за пределами ЕС, регулируют условия Discord.

Никаких автоматизированных решений

Автоматизированных решений по Art. 22 GDPR нет. Лента сортируется по формуле, ползунки которой настраиваешь ты; её основные параметры названы в условиях использования. О модерации, ограничениях и программах решает человек или твоё собственное согласие; Mandy тоже только придерживает публикации и сортирует жалобы, решает команда. Автоматически происходит только то, что не имеет правовых или сходных по значимости последствий, например при проверке ссылок и изображений, сворачивании ответов с большим числом голосов «против» и пометке «не подтверждено» при сведениях об организациях. Любое решение ты можешь обжаловать.

Твои права

• Доступ (Art. 15 GDPR), исправление (Art. 16), удаление (Art. 17), ограничение (Art. 18) и переносимость данных (Art. 20).
• Возражение (Art. 21 GDPR) против обработки на основании законного интереса.
• Отзыв согласия (Art. 7(3) GDPR) с действием на будущее.

Сделай сам: в Настройки → Твои данные ты скачиваешь свои данные и удаляешь аккаунт; он сразу блокируется и окончательно удаляется через 30 дней, а до тех пор ты отменяешь это, войдя снова. По всем остальным вопросам пиши на kontakt@tellmelo.com или используй форму обратной связи.

Жалоба: в надзорный орган по защите данных (Art. 77 GDPR), например по месту жительства или по месту нахождения ответственного; в Баварии это Баварское управление по надзору за защитой данных (BayLDA), Promenade 27, 91522 Ansbach.

Изменения

Если tellmelo обрабатывает данные новых видов, для новых целей или передаёт их новым получателям, это заявление заранее изменяется; новые функции в описанных рамках его не меняют. Дата вверху указывает действующую редакцию. О существенных изменениях заранее сообщает письмо на адрес твоего аккаунта, о чисто редакционных — нет.